Бағдарламалық жасақтама мен API лицензиялау

1) Неліктен iGaming үшін маңызды

Платформа өз кодына, бөгде кітапханаларға, ойын/төлем провайдерлерінің SDK және жария/жеке API-лерге сүйенеді. Лицензиядағы қателер наразылықтарға, интеграция блоктарына, IP ағуына және реттеуші тәуекелдерге (privacy/санкциялар/криптография экспорты) әкеледі. Мақсаты - құқықтардың мөлдір контурын құру: нені жариялауға, біріктіруге, серіктестерге беруге және өз API-ларыңызды қалай қорғауға болады.

2) БҚ лицензиялау модельдері (шолу)

Proprietary (жабық лицензия): вендордың эксклюзивті құқықтары; B2B үшін (операторлар, студиялар, PSP).

• Permissive: MIT, BSD, Apache-2. 0 (патенттік грант).
• Copyleft: GPL/LGPL/AGPL - «жұқтыратын» үйлесімділік; жабық модульдерде абайлап.
• Dual/Multi-licensing: тегін OSS тармағы + кеңейтілген құқықтары/қолдауы бар коммерциялық лицензия.
• SaaS лицензиялау: сервис ретінде қол жеткізу; код берілмейді, пайдалану құқығы беріледі.

Таңдау ережелері: сыни сервистер (ойын қозғалтқышы, антифрод, есептеулер) - copyleft-тен аулақ болу; UI-кітапханалар - permissive; ішкі тулзалар - оқшаулау кезінде GPL болуы мүмкін.

3) Құқықтар мен шектеулер: лицензияларда не қарауға болады

Құқықтар көлемі (scope): аумақ, мерзім, пайдаланушылар/инсталляциялар, орта (prod/stage/dev).
Түрлендірулер мен туындылар: бұрғылауға, өзгертуге, таратуға бола ма.
Сублицензиялау/беру :/white-label аффилиаттары үшін рұқсат етіле ме.
Патенттік грант және defensive termination (Apache-2. 0, MPL): патенттік тәуекелдер және кросс-лицензиялар.
Аудит және есептілік: вендордың лицензиялық тексерулер жүргізу құқығы.
Қауіпсіздік/экспорт: криптографияға шектеулер, елдер/санкциялар.
Индемнити және жауапкершілік: АЖ талаптарын кім жабады/залал.

4) Open Source: саясат және бақылау

Ақ тізім: MIT/BSD/Apache-2. 0, MPL-2. 0.
Сары: LGPL-3. 0 (динамикалық сызық және шарттар сақталған кезде).
Қызыл: AGPL/GPL-3. 0 жабық сервистерде, егер оқшаулау болмаса (сервис-шекара, network copyleft).
SBOM (Software Bill of Materials): нұсқалары/лицензиялары бар тәуелділіктердің міндетті тізімі.
OSS енгізу рәсімі: сұрау → юр/техникалық-бағалау үйлесімділігі → тіркеу → мерзімді аудит.
OSS-ке салым (upstream): CLA/DCO, IP ашуды тексеру, Legal-мен келісу.

5) SDK және провайдерлердің лицензиялары (ойындар, төлемдер, KYC)

Типтік талаптар: кері әзірлеуге тыйым салу, шарттан тыс кешіктіруге тыйым салу, логотиптерді/брендингті бақылау, ең аз нұсқалар, audit-құқық.
Деректер: шекаралар «операторлық деректер» vs «провайдер деректері», кім метриктер мен Derived Data иеленеді.
Экспорттық/санкциялық шектеулер: гео-блоктар, РЕР/санкциялар тізімдері - ToS/лицензияда міндетті түрде тексеру.
Қолдау/жаңарту: Патч SLA, breaking-changes, көші-қон мерзімдері.

6) API: қолжетімділікті ұсынудың заңды шарттары (әріптестер/аффилиаттар/В2В үшін)

• Қол жеткізу және аутентификация: OAuth2/HMAC/мутуал-TLS; кілттерді үшінші тұлғаларға беруге тыйым салу.
• Rate limits және квоталар: RPS/минут/тәулік; «адал пайдалану»; burst саясаты.
• SLA және қолдау: қол жетімділік (мысалы, 99. 9%), қызмет көрсету терезелері, инциденттер/коммуникациялар жоспары.
• Нұсқалау/депрекация: SemVer, EOL мерзімдері (мысалы, 9-12 айға ≥), хабарламаларды тарату.

• Service-Generated Data (логи, метрика) - API иесінде;
• Customer/Player Data - клиентте/операторда;
• Derived Data - шарт бойынша (рұқсат етілген/шектелген, анонимдеу).
• Кэш және сақтау: нені және қалай кэштеуге болады (TTL, дербес/сезімтал өрістерді сақтауға тыйым салу).
• Privacy/AML/KYC: рөлдер (бақылаушы/процессор), DPA/DSA, трансшекаралық берілістер, high-risk сценарийлері үшін DPIA.
• Қауіпсіздік: транзиттегі шифрлау/ат-рест, құпия-менеджмент, 27001 SOC2/ISO қойылатын талаптар (егер қолданылатын болса).
• Тыйым салулар: кері инженерия, скрейпинг, келісімсіз өлшеу/бенчмаркинг, API жауаптарының модификациясы.
• Аудит және логтар: тексеру құқығы, сұрау журналына қойылатын талаптар.
• Санкциялар және экспорт: тізімдегі пайдаланушылармен/елдерде пайдалануға тыйым салу, screening.
• Кепілдіктерді алып тастау және жауапкершілік лимиті: cap (мысалы, 12 × орташа салмағы. төлем).
• Кіруді тоқтату: қауіпсіздікке/заңға қатер төнген кезде дереу; деректерді шығару жоспары.

7) Нұсқалау және үйлесімділік саясаты

SemVer: MAJOR (breaking), MINOR (features), PATCH (fix).
JSON Schema/OpenAPI; клиенттер үшін contract-тесттер.
Deprecation-процедура: анонс → үйлесімділік кезеңі (6 айдан ≥) → EOL → жою; көші-қон басшылығы.
Feature flags: «жұмсақ» домалақтар үшін.

8) Экспорттық бақылау, санкциялар, криптография

Криптографияны экспорттау: жергілікті ережелерді тексеру; хабарламалар/ЕСС коды/биттік ұзындықтар.
Санкциялар: санкцияланған юрисдикциялардың резиденттеріне/тұлғаларға қызмет көрсетуге/рұқсат беруге тыйым салу; мерзімді рескрининг.
Заңнаманың істен шығуға төзімділігі: реттеуші тәуекел кезінде сервисті тоқтату туралы клаузула.

9) Тәуекелдер матрицасы (RAG)

10) Шығару/интеграциялау алдындағы чек-парақ

• SBOM жиналды; лицензиялар тексерілді (үйлеспейтін жоқ).
• Вендор/SDK-лицензияларға қол қойылды; деректер мен брендке құқықтар.
• DPA/DSA ресімделген; бақылаушы/процессор рөлдері анықталған.
• API Terms/EULA жаңартылды; жазылған rate limits/SLA/депрекация.
• Процестердегі санкциялық/экспорттық скрининг.
• Қауіпсіздік: кілттер, ротация, шифрлау, журналдау.
• Оқиғалар жоспары және рұқсатты қайтарып алу (killswitch) дайын.

11) Тізілімдер мен артефактілер (ұсынылатын форматтар)

11. 1 SBOM/Лицензиялар тізілімі

yaml component: "payment-gateway-sdk"
version: "4. 2. 1"
license: "Apache-2. 0"
source: "maven"
usage: "runtime"
notes: "requires notice file"
dependencies:
- name: "okhttp"
version: "4. 12. 0"
license: "Apache-2. 0"
- name: "commons-io"
version: "2. 16. 1"
license: "Apache-2. 0"
owner: "Engineering"

11. 2 API-клиенттер тізілімі

yaml client_id: "aff-778"
app_name: "AffTrack"
scopes: ["reports:read","players:read_limited"]
rate_limit_rps: 5 quota_daily: 50_000 dpa_signed: true sanctions_screened_at: "2025-11-05"
status: "active"
owner: "API Ops"

11. 3 Registry SDK/вендорлар

yaml vendor: "GameProviderX"
agreement: "SDK-License-2025-10"
audit_rights: true brand_rules: true data_rights:
provider_metrics: "vendor"
operator_metrics: "shared"
derived_data: "anonymized_allowed"
sla:
incidents: "P1:2h,P2:8h"
updates: "quarterly"

12) Үлгілер (фрагменттер)

12. 1 EULA (ішкі фрагмент)

12. 2 API Terms (ішкі фрагмент)

12. 3 Болжамды кодты/доктарды лицензиялау

13) Құпиялылық және деректер (API/SDK)

Ең аз: артық өрістерді (PII) бермеңіз, «жартылай мөлдір» идентификаторларды пайдаланыңыз.
TTL кэш: қатаң бекітілген; толық дампаларды жергілікті көшіруге тыйым салу.
Деректер субъектілерінің құқықтары: оператор арқылы сұрау салуларды бағыттау (access/erasure); хаттамалау.
Бүркеншік атау/анонимдеу: аналитика/Derived Data - жарияланғанға дейін.

14) Ойнатқыштар

P-LIC-01: Прод-сервисте copyleft табылды

Аудит SBOM → көші-қон/оқшаулау нұсқасы → юр-бағалау → релиз жоспары → ретроспектива.

P-API-02: API кілтінің жылыстауы

Кілтті қайтарып алу → клиентті хабардар ету → форензия → құпияларды ротациялау → саясат апдейт.

P-SDK-03: Вендор үйлесімділікті бұзады

Өтпелі адаптер → уақытша тармақ API → терезені ұзарту туралы келіссөздер → клиенттерге тарату.

P-XPORT-04: Санкциялар туы

Қолжетімділік автобөлшегі → матчтарды растау → заңды бағалау → реттеуші үшін құжаттар.

15) KPI/метрика

SBOM Coverage% және мақұлданған компоненттердің үлесі.
Лицензиялық инциденттің жабылу уақыты (copyleft/сыйыспаушылық).
Deprecation Compliance% (клиенттер өзекті нұсқада).
Ағып кеткен кілттің Time-to-Revoke және API-инциденттер бойынша MTTR.
DPA/DSA қол қойылған және санк-скринингтен өткен клиенттердің үлесі.

16) Шағын FAQ

LGPL ендіруге бола ма? Иә, динамикалық сызба және шарттар сақталған кезде SBOM-да бекітеміз.
API талдауын кім меңгерген? Әдепкі бойынша - API (Service-Generated) иесі, клиент - шектеулі лицензия.
ML-ді API деректерінде үйретуге бола ма? Тек анонимденген/біріктірілген және егер рұқсат етілсе, ToS/DPA.
EOL қанша ұстайды? Көші-қон гайдымен 9-12 ай ұсынылады.

17) Қорытынды

Бағдарламалық жасақтаманы лицензиялау және API - бұл «бір рет қол қою» емес, тұрақты цикл: үйлесімді лицензияларды таңдау, SBOM жүргізу, нақты API Terms (деректер/квоталар/SLA/депрекация), DPA/санкциялар және операциялық плейбуктер. Тізілімдер мен үлгілерді стандарттаңыз - заңды тәуекелдерді төмендетіп, интеграцияны жеңілдетіп, өз IP және ойыншылардың деректерін қорғаңыз.